Nuevas reglas de firma de código en 2025: Cómo mantenerse a la vanguardia con CodeSign Secure 

Introducción 

La firma de código se ha convertido en un requisito fundamental para los equipos de software que desean demostrar que su código es seguro, no ha sido manipulado y proviene de ellos. Ya sea que se envíen aplicaciones de escritorio, APK para dispositivos móviles o contenedores, un certificado de firma de código válido brinda a los usuarios la seguridad de que el código no ha sido modificado en ningún momento. 

Recientemente, el CA/Browser Forum (el grupo que establece las normas en torno a los certificados digitales) introdujo un cambio importante: según la propuesta CSC-31, aprobada el 17 de noviembre de 2025, la validez máxima de los certificados de firma de código de confianza pública se reduce a 460 días, unos 15 meses, para cualquier certificado emitido a partir del 1 de marzo de 2026.

En resumen, el cumplimiento de la firma de código según la regla de los 460 días: la propuesta CSC-31 (aprobada el 17 de noviembre de 2025, Requisitos básicos de firma de código v3.10.0) limita la validez de los certificados de firma de código de confianza pública a 460 días para aquellos emitidos a partir del 1 de marzo de 2026. Los certificados emitidos antes de esa fecha conservan su validez original hasta su vencimiento. En caso de que se confirme una vulneración de la clave, se requiere la revocación de la CA en un plazo de 24 horas, independientemente del período de validez.

Puntos Clave

• La fecha de entrada en vigor es el 1 de marzo de 2026 para los certificados emitidos en o después de esa fecha, no febrero de 2025. Confirme esto directamente en los requisitos publicados por el propio CA/Browser Forum antes de realizar cualquier afirmación de cumplimiento basada en una fecha específica.
• Este sitio cubre la boleta electoral con mayor profundidad, con la lista de verificación de auditoría completa y detalles de revocación/marcado de tiempo, en Firma segura de código: Validez del certificado reducida a 460 días..
• Una menor validez reduce el período máximo de exposición ante una vulneración de seguridad clave; sin embargo, no modifica el plazo de revocación de 24 horas de la autoridad de certificación una vez confirmada la vulneración.

Esto no es solo un pequeño ajuste de política. Si su equipo está acostumbrado a trabajar con certificados de 2 o 3 años, esto significa que deberá replantearse cómo gestiona las renovaciones, la seguridad de las claves y la automatización. Ignorarlo podría provocar fallos de firma, problemas de compilación o incluso versiones sin firmar. 

En el resto de este artículo, analizaremos qué está cambiando, cómo afecta sus flujos de trabajo de firma y cómo nuestro CodeSign Secure puede ayudarlo a mantenerse seguro y en cumplimiento sin agregar más trabajo manual. 

¿Qué está cambiando en la validez de la firma de código? 

Hasta ahora, la mayoría de los certificados de firma de código tenían una vida útil prolongada de hasta 3 años (o 39 meses, para ser exactos). Esto simplificaba las cosas: obtén tu certificado, úsalo en varias versiones y renuévalo cada pocos años. 

Eso está a punto de cambiar. 

El Foro de CA/Navegadores ha decidido reducir la validez máxima de estos certificados a tan solo 460 días, algo más de 15 meses. El objetivo es reforzar la seguridad y reducir el riesgo de exposición o uso indebido de claves de larga duración. 

Fechas clave que debes conocer 

• Marzo 1, 2026: Cualquier entidad de confianza pública certificado de firma de código Los permisos emitidos a partir de esta fecha tienen una validez máxima de 460 días, según la propuesta CSC-31 (aprobada el 17 de noviembre de 2025). 
• Antes del 1 de marzo de 2026Los certificados ya emitidos conservan su período de validez original hasta que caduquen de forma natural; el límite máximo se aplica a la emisión y reemisión a partir de esa fecha, no de forma retroactiva. 

Por lo tanto, si usted posee un certificado de mayor validez emitido antes del 1 de marzo de 2026, este seguirá siendo válido según su calendario original. Cualquier certificado emitido o reemitido a partir de esa fecha tendrá un límite de 460 días. 

Esto significa renovaciones más frecuentes, más seguimiento y más margen de error, a menos que tenga un sistema implementado que mantenga las cosas en orden. 

¿Por qué es importante este cambio?

A primera vista, acortar la validez del certificado podría parecer un trabajo extra. Pero en realidad, hay razones de peso para ello. 

Menos tiempo para que las llaves se usen incorrectamente 

Cuanto más tiempo permanezca válido un certificado, mayor será el riesgo de que algo salga mal, como la filtración o el robo de una clave privada. Reducir la validez a 460 días ayuda a limitar el daño si una clave se ve comprometida. Se trata de un enfoque de "menos tiempo, menos riesgo". 

Fomenta mejores hábitos de seguridad 

Una vida útil más corta implica que los equipos deben mantenerse al día con la gestión de certificados y algoritmos criptográficos. Esto obliga a todos a actualizar las claves y la configuración con mayor frecuencia, sin tener que configurarlas y olvidarlas durante años. 

Te mantiene al día con las reglas de la industria 

Este cambio no es solo una sugerencia; ahora forma parte del reglamento oficial del Foro CA/Browser. Si desea que sus certificados de firma de código sean confiables, debe cumplir con estas nuevas reglas. Herramientas como CodeSign Secure pueden ayudarle a cumplir con la normativa sin que la gestión de certificados se convierta en un trabajo a tiempo completo.

Impacto en las organizaciones y los desarrolladores 

Este nuevo límite de 460 días no es solo un cambio de casilla de verificación; afecta la forma en que los equipos planifican, crean y lanzan software. 

Más renovaciones, con mayor frecuencia 

Dado que los certificados vencen en poco más de un año, deberá renovarlos con mayor frecuencia. Esto implica realizar un seguimiento de más fechas de vencimiento, actualizar los procesos y asegurarse de que no haya fallos durante un lanzamiento. Si no renueva, sus compilaciones podrían fallar o su software firmado podría generar advertencias. 

La gestión de claves se vuelve complicada 

Un mayor número de renovaciones implica más pares de claves que gestionar de forma segura. Si aún no utiliza módulos de seguridad de hardware (HSM) o almacenamiento seguro de claves, es el momento de considerarlo. Perder una clave privada o almacenarla en un lugar inadecuado puede ocasionar graves problemas.

La presupuestación y la planificación necesitan un ajuste 

Si ha estado comprando certificados plurianuales y dejándolos de lado durante un tiempo, esa estrategia ya no funcionará. Ahora comprará y gestionará certificados con más frecuencia, por lo que conviene revisar cómo esto afecta su presupuesto y sus procesos internos. 

Aquí es donde nuestra plataforma entra en acción: renovaciones automatizadas, almacenamiento de claves con integración de HSM y una forma sencilla de gestionar todos sus certificados en un solo lugar. Menos complicaciones, menos sorpresas. 

Mejores prácticas para gestionar ciclos de vida de certificados más cortos 

Ahora que los certificados duran poco más de un año, llevar un registro manual de todo ya no es práctico. Para evitar problemas de última hora y compilaciones fallidas, es hora de ajustar las cosas un poco. 

• Automatice las renovaciones donde sea posible: Si su proceso de renovación de certificados aún implica recordatorios de calendario y pasos manuales, se volverá obsoleto rápidamente. Automatizar las renovaciones, especialmente para tareas repetitivas como solicitar, reemitir e instalar certificados, ahorra tiempo y reduce la posibilidad de pasar por alto algo importante. 
• Almacenar claves en hardware seguro: Almacenar claves privadas en equipos locales o unidades compartidas es problemático. Usar módulos de seguridad de hardware (HSM) o bóvedas de claves en la nube le ofrece la protección necesaria, especialmente ahora que los certificados se actualizan con mayor frecuencia. Además, facilita el cumplimiento normativo. 
• Manténgase al tanto de los vencimientos y reemisiones: Configura alertas y paneles para saber cuándo los certificados están a punto de caducar. Esto ya no es solo una ventaja; perder una ventana de renovación puede bloquear lanzamientos o generar problemas de confianza para tus usuarios. Un poco de visibilidad es muy útil. 

Nuestra plataforma está diseñada para encargarse de todo esto. Desde la automatización de renovaciones y la integración de HSM hasta el seguimiento de vencimientos y el almacenamiento seguro, le ayuda a mantener todo en orden con mucho menos esfuerzo manual. 

Cómo CodeSign Secure simplifica la firma de código bajo las nuevas reglas

Ahora que los certificados duran solo 460 días, hacerlo todo manualmente se convertirá rápidamente en una tarea tediosa. Por eso mismo creamos CodeSign Secure: para simplificar la firma de código y agilizar todo el proceso.

• Gestión centralizada de claves y certificados: Ya no es necesario buscar la clave o el certificado correcto en carpetas compartidas, correos electrónicos o equipos locales. Nuestra plataforma te ofrece un único lugar para gestionarlo todo, ya sea para una aplicación web, una versión móvil o un instalador de escritorio. 
• Integración CI/CD: Nuestra plataforma funciona bien con las herramientas que ya estás usando, como Bamboo, TeamCity, Azure DevOps, Jenkinsy otros. La firma se convierte en parte de tu proceso de compilación, no algo que tengas que detener y hacer por separado. 
• Firma respaldada por HSM con soporte PKCS#11: Tus claves privadas nunca salen del hardware seguro. Nuestra plataforma es compatible. PKCS # 11, por lo que puede conectarse a HSM y mantener sus claves de firma protegidas, ya sea que utilice HSM locales u opciones basadas en la nube. 
• Alertas inteligentes y automatización de renovaciones: Nuestra plataforma supervisa sus certificados y le avisa antes de que caduquen. Además, gestiona los trámites de renovación en segundo plano, para que no tenga que preocuparse por incumplimientos de plazos o compilaciones defectuosas. 

En resumen, nuestro CodeSign Secure le ayuda a cumplir con las nuevas reglas, sin convertir la gestión de certificados en un trabajo de tiempo completo. 

Estrategia de migración: de certificados de larga duración a certificados de 460 días

Si ha estado usando certificados de 2 o 3 años, cambiar a la nueva regla de los 460 días puede parecer un gran cambio, pero no tiene por qué serlo. Con un poco de planificación y las herramientas adecuadas, la transición puede ser bastante sencilla. 

• Comience con una auditoría de certificación: Primero lo primero: haz una lista de todos tus certificados de firma de código actuales. Anota sus fechas de emisión y vencimiento, dónde se almacenan las claves y qué proyectos dependen de ellas. Esto te dará una idea clara de qué requiere atención y cuándo. 
• Plan de renovaciones y reemisiones: Si posee un certificado plurianual emitido antes del 1 de marzo de 2026, recuerde: cualquier renovación a partir de esa fecha le otorgará solo 460 días. Por lo tanto, planifique con anticipación. Cree un calendario de renovaciones, notifique a sus equipos de desarrollo y lanzamiento, y evite las prisas de último momento. 

CodeSign Secure facilita el cambio 

Nuestra plataforma le ayuda a adoptar ciclos de certificación más cortos sin afectar su flujo de trabajo. Escanee y rastree los certificados existentes, le notifique cuándo es momento de reemplazarlos y gestione la reemisión mediante flujos automatizados. Ya sea que esté realizando la transición de un equipo o de toda la organización, nuestra plataforma mantiene el proceso limpio y seguro. 

La revocación y el sellado de tiempo siguen vigentes.

La menor validez no altera dos reglas que ya se aplican independientemente de la duración del certificado: una CA debe revocar un certificado dentro de las 24 horas posteriores a la confirmación de una vulneración de la clave privada, y una marca de tiempo válida según la RFC 3161 es lo que permite verificar el software ya distribuido una vez que caduca el certificado de firma. Ninguna de estas reglas es opcional con el nuevo ciclo; de hecho, un ciclo de renovación de 460 días las hace más visibles, ya que se utilizarán con mayor frecuencia los procesos de renovación (e idealmente, nunca) de revocación.

Lista de verificación de auditoría de cumplimiento

• Confirme la fecha de emisión de cada certificado comparándola con el 1 de marzo de 2026, para saber qué regla de validez se le aplica.
• Confirme que las claves privadas se almacenan en hardware que cumpla con el nivel 2 de la norma FIPS 140-2 del Foro CA/Browser (o con el nivel EAL 4+ de los Criterios Comunes).
• Confirme que cada operación de firma esté registrada con una marca de tiempo a través de una TSA de confianza.
• Confirme que existe un procedimiento de revocación probado y documentado, y que puede ejecutarse dentro del plazo de 24 horas.
• Confirme que la automatización de la renovación, y no los recordatorios del calendario, gestiona los certificados con la nueva periodicidad de 15 meses.

Conclusión 

Una validez más corta del certificado puede parecer más trabajo, pero en realidad, impulsa a todos a adoptar mejores hábitos, una mayor seguridad de clave, actualizaciones más rápidas y un control más estricto sobre el proceso de firma. 

Ahí es donde CodeSign Secure realmente destaca. Está diseñado para encargarse de todo el trabajo pesado, para que usted no tenga que hacerlo. Ya sea para el seguimiento de certificados, la gestión de renovaciones, la protección de claves privadas en HSM o la integración directa con sus pipelines de CI/CD , nuestra plataforma mantiene su proceso de firma de código fluido, seguro y preparado para el futuro.

No dejes que la regla de los 460 días frene a tu equipo.

Preguntas frecuentes

¿Cuál es la fecha de entrada en vigor real de la regla de los 460 días?

El 1 de marzo de 2026, para los certificados emitidos a partir de esa fecha, según la propuesta CSC-31 (aprobada el 17 de noviembre de 2025). Los certificados emitidos antes de esa fecha no se verán afectados hasta que sea necesario volver a emitirlos.

¿Una menor validez reduce el plazo de revocación de las claves comprometidas?

No. Si se confirma que una clave se ha comprometido, la CA seguirá necesitando la revocación en un plazo de 24 horas según los Requisitos Básicos de Firma de Código, independientemente de la duración del período de validez del certificado.